Assinaturas e carimbos de tempo SHA3 em PDF

O HotPDF aplica uma única política de digest em CMS destacado, atributos assinados, identificadores de assinatura RSA ou ECDSA, impressões de mensagem RFC 3161, carimbos de tempo de assinatura, carimbos de tempo de documento, dicionários Seed Value e verificação de assinatura carregada

Seleção de digest

THPDFCMSDigestAlgorithm fornece cmsdaSHA256, cmsdaSHA384, cmsdaSHA512, cmsdaSHA3_256, cmsdaSHA3_384 e cmsdaSHA3_512

Options := HPDFCMSDefaultOptions(palBaseline_B_T);
Options.DigestAlgorithm := cmsdaSHA3_384;
Options.SignatureScheme := cmsRSAPSS;
Options.PSSSaltLength := 48;

HPDFCMSBuildSignedDataEx, as funções de assinatura de fluxo, signatários externos e provedores de assinatura consomem o digest selecionado sem fallback de SHA-256

RSA PKCS#1 v1.5 usa o DigestInfo específico do digest, RSA-PSS usa parâmetros de hash e MGF1 correspondentes, e cmsECDSA emite o OID de assinatura ECDSA combinada para o digest selecionado

Política de carimbo de tempo

GetContentTimeStamp recebe o digest do documento selecionado e GetSignatureTimeStamp recebe o digest selecionado do valor da assinatura CMS

Tokens RFC 3161 retornados são rejeitados a menos que tanto o OID da impressão de mensagem quanto os bytes correspondam à política de digest selecionada

A sobrecarga THotPDF.RenewPAdESLTATimestamp com um parâmetro DigestAlgorithm aplica a mesma política à renovação de carimbo de arquivamento, enquanto a sobrecarga de compatibilidade permanece SHA-256

Declaração em PDF e Seed Values

Usar SHA3-256, SHA3-384 ou SHA3-512 em THPDFPage.AttachPAdESSeedValue declara automaticamente a extensão de desenvolvedor ISO 32001 PDF 2.0

A entrada do catálogo usa /Extensions /ISO_ com /BaseVersion /2.0, /ExtensionLevel 32001, /ExtensionRevision (:2022) e /Type /DeveloperExtensions

Requisitos do provedor

THPDFPKCS11SignatureProvider mapeia solicitações SHA3 para os identificadores PKCS#11 de hash e MGF correspondentes e converte assinaturas ECDSA brutas em CMS DER

THPDFWindowsKeyStorageSignatureProvider passa o algoritmo SHA3 selecionado para CNG e também converte assinaturas ECDSA brutas em CMS DER

SignPDFWithSystemCertificate aplica a mesma política CNG a chaves do repositório de certificados do Windows, enquanto chaves CryptoAPI legadas rejeitam explicitamente SHA3

Um token, provedor de armazenamento de chaves ou versão do Windows que não implementa o algoritmo SHA3 solicitado retorna um status de não suportado explícito

Desempenho de streaming

Faixas de bytes do PDF são submetidas a hash em blocos limitados e a assinatura SHA3 pode compartilhar a mesma varredura de faixa com a geração de PDF MAC, incluindo reutilização direta de digest quando ambas as políticas selecionam o mesmo algoritmo